Łatka PHP a BIP. Co sprawdzić tydzień po poprawce i o co zapytać dostawcę

21 października twórcy PHP wydali poprawkę na dwie krytyczne dziury, które pozwalają obcej osobie uruchomić własny kod na serwerze ze stroną. Na PHP działa bardzo wiele systemów BIP w Polsce, od tych opartych na WordPressie i Joomli po wiele rozwiązań pisanych przez lokalne firmy informatyczne. Jeśli BIP jednostki stoi na wersji PHP starszej niż 8.2, oficjalnej poprawki nie dostanie wcale.

BIP-y prowadzone w NowyBIP nie działają na PHP, więc ta sprawa ich nie dotyczy. Ten tekst jest dla dyrektorów, sekretarzy i redaktorów, których BIP prowadzi ktoś inny, i którzy nie wiedzą, czy po 21 października ktoś w ogóle coś zrobił.

Dlaczego BIP to łakomy kąsek

Informacje o dziurach (CVE-2026-109618 i CVE-2026-109619) wyciekły dzień przed poprawką, razem z gotowym narzędziem do ataku. Takie narzędzia skanują internet hurtem i nie wybierają, czyja to strona. BIP-y są dla nich wygodnym celem, bo mają kilka cech naraz: stoją latami bez zmian, ich adresy łatwo znaleźć, a domena urzędu czy szkoły budzi zaufanie, więc podrzucony na nią link do oszustwa działa lepiej niż na byle jakiej stronie.

Do tego w BIP leżą dokumenty z danymi osobowymi: oświadczenia majątkowe, protokoły, zarządzenia. Włamanie na BIP to nie tylko kłopot wizerunkowy, ale też możliwe naruszenie ochrony danych.

Tydzień po poprawce. Co sprawdzić teraz

Jeśli od 21 października nikt nie dał znać, że BIP został zaktualizowany, trzeba zapytać. Nie warto pytać ogólnie, czy jest bezpiecznie, bo odpowiedź też będzie ogólna. Poniższy mail wystarczy skopiować, podmienić adres BIP i wysłać do firmy, która go prowadzi.

Dzień dobry,

w związku z poprawką bezpieczeństwa PHP
wydaną 21 października 2026 (CVE-2026-109618
i CVE-2026-109619) proszę o pisemną informację
dotyczącą naszego Biuletynu Informacji
Publicznej pod adresem ADRES-BIP:

1. Na jakiej wersji PHP działa nasz BIP?
2. Czy poprawka została wgrana, a jeśli tak,
   to którego dnia?
3. Jeśli BIP działa na wersji starszej niż 8.2,
   jak zamierzają Państwo go zabezpieczyć?
4. Czy sprawdzili Państwo, czy w okresie
   od 20 października do wgrania poprawki
   nie doszło do nieuprawnionego dostępu?

Z góry dziękuję za odpowiedź.

Odpowiedź warto dołączyć do dokumentacji jednostki. Jeśli coś się później wydarzy, będzie jedynym śladem, że kierownictwo zapytało w porę.

Jeśli nie wiadomo, kto prowadzi BIP, bo umowę podpisywał poprzedni dyrektor albo informatyk, który już nie pracuje, to też jest odpowiedź. I to taka, którą lepiej poznać teraz niż przy następnej takiej poprawce.

Po czym poznać, że ktoś już wszedł

Rejestr zmian w BIP niewiele tu pomoże. Pokazuje zmiany zrobione przez panel redakcyjny, a ktoś, kto wszedł przez dziurę w serwerze, panelu nie potrzebuje i śladu w metryczce nie zostawi. Lepiej sprawdzić rzeczy, które widać z zewnątrz:

• wpisać w Google site:adres-bip i przejrzeć wyniki, czy nie ma stron, których jednostka nigdy nie publikowała, często po angielsku albo o lekach i kasynach,
• wejść na BIP z wyników wyszukiwania, a nie wpisując adres ręcznie, bo podmienione strony często przekierowują tylko odwiedzających z Google,
• otworzyć kilka ostatnio opublikowanych dokumentów i porównać je z oryginałami w sekretariacie,
• sprawdzić, czy w panelu nie pojawiło się konto redaktora, którego nikt nie zakładał.

Jeśli coś z tej listy się potwierdzi, a w BIP były dane osobowe, to zgodnie z art. 33 RODO jednostka ma 72 godziny na zgłoszenie naruszenia do Prezesa UODO. Pierwszym krokiem jest telefon do inspektora ochrony danych, nie do dostawcy BIP.

Czego ten wpis nie zawiera

Nie publikujemy szczegółów technicznych ani sposobu sprawdzenia, czy konkretny serwer jest podatny. Jeśli BIP prowadzi informatyk jednostki, szczegóły znajdzie u firm zajmujących się bezpieczeństwem, które opisały sprawę pierwsze.

Jak to wygląda w NowyBIP

W NowyBIP nie ma osobnego serwera dla każdej jednostki ani starej wersji, o której ktoś zapomniał. Silnik jest jeden, wspólny dla wszystkich BIP-ów, i aktualizujemy go sami, zanim redaktor dowie się, że coś się wydarzyło. To nie czyni żadnego systemu nietykalnym, ale akurat ta robota nie spada na szkołę ani urząd.

Przeniesienie istniejącego BIP trwa zwykle 5-7 dni roboczych, z zachowaniem struktury menu i dokumentów. Jak to przebiega krok po kroku, opisaliśmy w tekście Migracja BIP - jak przenieść dane ze starego systemu. Jeśli po mailu do dostawcy odpowiedź nie przyjdzie albo będzie wymijająca, napisz do nas, wycenimy przeniesienie bezpłatnie.

Najczęstsze pytania

Czy łatka PHP z 21 października 2026 dotyczy BIP?

Tak, jeśli BIP działa na PHP, a tak jest w przypadku systemów opartych na WordPressie, Joomli i wielu rozwiązań lokalnych firm informatycznych. Wersje PHP 8.2 i nowsze dostały poprawkę, starsze nie dostaną jej wcale.

Jak sprawdzić, na jakiej wersji PHP działa BIP?

Najprościej zapytać pisemnie firmę, która prowadzi BIP. Jeśli jednostka ma własny dostęp do panelu hostingu, wersję PHP widać w ustawieniach serwera WWW, zwykle w sekcji Wersja PHP albo Ustawienia PHP.

Kto odpowiada za bezpieczeństwo BIP prowadzonego przez zewnętrzną firmę?

Za BIP odpowiada jednostka, która udostępnia w nim informacje, także wtedy, gdy technicznie obsługuje go zewnętrzna firma. Dlatego warto mieć od dostawcy pisemną odpowiedź, czy i kiedy poprawka została wgrana.

Co zrobić, jeśli doszło do włamania na BIP?

Najpierw powiadomić inspektora ochrony danych. Jeśli w BIP były dane osobowe, zgodnie z art. 33 RODO jednostka ma 72 godziny na zgłoszenie naruszenia do Prezesa UODO.

Czy NowyBIP jest podatny na dziurę w PHP z października 2026?

Nie. NowyBIP nie działa na PHP. Silnik jest wspólny dla wszystkich BIP-ów i aktualizujemy go centralnie, więc redaktor nie musi niczego łatać.

Źródła: Sansec, watchTowr, Huntress, RODO, art. 33.